مفاتيح واجهة برمجة التطبيقات من جوجل تبقى نشطة بعد الحذف

تعتبر مفاتيح واجهة برمجة التطبيقات من جوجل من العناصر الحيوية في بيئة السحابة، ولكن هناك مخاطر تتعلق بإلغاء تنشيطها.

مفاتيح واجهة برمجة التطبيقات من جوجل لا تصبح غير نشطة تمامًا بعد حذفها من قبل المستخدمين، مما يمنح المهاجمين نافذة صغيرة ولكنها مهمة للاستمرار في إساءة استخدامها.

قام جو ليون، الباحث في شركة Aikido Security البلجيكية الناشئة، مؤخرًا بتحليل نافذة الإلغاء – الوقت بين حذف المفتاح وآخر مصادقة ناجحة له – لمفاتيح واجهة برمجة التطبيقات الخاصة بشركة جوجل. في منشور على مدونته نُشر اليوم، قال ليون إن عملاء منصة جوجل السحابية (GCP) يتوقعون أن تنتهي إمكانية الوصول إلى واجهة برمجة التطبيقات على الفور بعد حذف المفتاح، لكن هذا ليس هو الحال.

في سلسلة من الاختبارات، وجد ليون أن متوسط نافذة الإلغاء كان حوالي 16 دقيقة، بينما كانت أطول نافذة تصل إلى 23 دقيقة، “وهو وقت طويل بشكل مذهل” لمفاتيح واجهة برمجة التطبيقات للاستمرار في المصادقة بنجاح، كما قال.

وهذه النوافذ لها عواقب وخيمة على المنظمات. “يمكن للمهاجم الذي يمتلك مفتاحك المحذوف الاستمرار في إرسال الطلبات حتى يصل أحدها إلى خادم لم يتواكب بعد. إذا كانت ميزة Gemini مفعلّة في المشروع، يمكنهم تفريغ الملفات التي قمت بتحميلها وسرقة المحادثات المخزنة”، قال ليون. “لن تظهر لك وحدة التحكم في GCP المفتاح، ولن تخبرك أن المفتاح لا يزال يعمل. أنت تثق في بنية جوجل التحتية لتتواكب في النهاية.”

تفاوت نوافذ إلغاء مفاتيح واجهة برمجة التطبيقات من جوجل

يقول ليون لموقع Dark Reading إنه استلهم لفحص نوافذ الإلغاء لـ GCP بعد أن نشر إدوارد أغافريلو، المؤسس المشارك لشركة Offensai، بحثًا في أواخر العام الماضي حول تأخيرات الإلغاء في بيانات اعتماد AWS. لكن كما أشار ليون في منشوره، كانت تلك التأخيرات أربع ثوانٍ فقط، واستجابت AWS للمشكلة.

“كانت أربع ثوانٍ كافية لتكون مهمة في AWS”، كتب.

كانت نوافذ الإلغاء لمفاتيح واجهة برمجة التطبيقات من جوجل، بالمقارنة، أطول بشكل كبير. قامت فريق أبحاث Aikido بإجراء 10 اختبارات على مدار يومين حيث أنشأوا آلات افتراضية (VMs) في مناطق مختلفة من GCP، وحذفوا مفاتيح واجهة برمجة التطبيقات، وأرسلوا ما يصل إلى خمس طلبات مصادقة في الثانية لمعرفة مدى استمرار عمل المفاتيح بعد الحذف.

كانت نتائج الاختبار “غير متوقعة للغاية”، حيث كانت إحدى التجارب لديها معدل نجاح مصادقة بنسبة 79% بعد دقيقة واحدة، بينما كانت تجربة أخرى لديها معدل نجاح 5% فقط. بالإضافة إلى ذلك، وجد فريق أبحاث Aikido أن معدلات النجاح كانت مختلفة بشكل كبير بناءً على منطقة VM.

على سبيل المثال، وفقًا لنتائج الاختبار، كانت آلات VM في منطقة asia-southeast1 من GCP لديها معدل نجاح مصادقة للطلبات يبلغ 22% فقط بعد دقيقة واحدة، بينما كانت معدلات النجاح في منطقتي us-east1 وeurope-west1 حوالي 49%. أشار ليون إلى أن الآلات الافتراضية البعيدة عن الولايات المتحدة استجابت لطلبات الحذف بشكل أسرع، وهو “عكس ما قد تتوقعه”، على الرغم من أنه غير واضح لماذا.

تأخيرات حذف مفاتيح واجهة برمجة التطبيقات تعقد الاستجابة للحوادث

ذكرت تقرير Aikido أن واجهة المستخدم (UI) الخاصة بـ GCP لحذف المفاتيح تنص على أنه “بمجرد الحذف، لا يمكن استخدامها لإجراء طلبات واجهة برمجة التطبيقات”. كتب ليون أن واجهة المستخدم هذه خاطئة بشكل واضح وتترك العملاء في الظلام بشأن متى يتم إلغاء مفتاح واجهة برمجة التطبيقات بالكامل.

يقول ليون لموقع Dark Reading إن نوافذ الإلغاء لمفاتيح واجهة برمجة التطبيقات من جوجل، بالإضافة إلى معدلات النجاح غير المتوقعة في المصادقة، تعقد الأمور لفرق الاستجابة للحوادث التي تتعامل مع خرق محتمل.

“هذا يكسر النموذج الذهني الذي تمتلكه فرق الاستجابة للحوادث عند التعامل مع بيانات الاعتماد المسربة”، كما يقول. “يُفترض أنه عند النقر على ‘حذف’ أو ‘إلغاء’، فإن بيانات الاعتماد لم تعد تعمل. الآن تحتاج فرق الاستجابة للحوادث إلى تذكر أنه بالنسبة لبيانات اعتماد GCP، توجد نافذة عندما لا تزال تلك البيانات ‘المحذوفة’ تعمل للمهاجمين.”

في هذا السياق، أوصت Aikido بأن تستخدم الفرق الأمنية وفرق الاستجابة للحوادث نافذة زمنية مدتها 30 دقيقة لحذف مفاتيح واجهة برمجة التطبيقات من جوجل. بالإضافة إلى ذلك، يجب على المنظمات مراقبة طلبات واجهة برمجة التطبيقات الخاصة بهم حسب بيانات الاعتماد من خلال قسم “واجهات برمجة التطبيقات والخدمات المفعلة” في وحدة التحكم GCP، ومراجعة طلبات واجهة برمجة التطبيقات حسب بيانات الاعتماد. “إذا رأيت استخدامًا غير متوقع من تلك البيانات بعد الحذف، فقد يكون شخص ما يستغلها بنشاط”، كتب ليون.

أبلغت Aikido عن النتائج إلى جوجل، لكن الشركة أغلقت التقرير على أنه “لن يتم إصلاحه”، وفقًا للمدونة. اتصلت Dark Reading بجوجل للتعليق على البحث، لكن الشركة لم تستجب في وقت النشر.

أشار ليون إلى أن جوجل لديها إلغاءات أسرع لأنواع أخرى من بيانات الاعتماد، حيث تنتشر عمليات حذف حسابات الخدمة عبر المنصة في حوالي خمس ثوانٍ، ويتم إلغاء تنسيق مفتاح واجهة برمجة التطبيقات الأحدث من Gemini بالكامل في حوالي دقيقة واحدة. وهذا يشير إلى أنه “يمكن حله تقنيًا” لتقليل نوافذ الإلغاء لمفاتيح واجهة برمجة التطبيقات من جوجل.

“الأنظمة الموزعة على نطاق جوجل صعبة، وهذا ليس انتقادًا لفريق GCP IAM”، كتب ليون. “لكن نافذة الإلغاء التي تبلغ 23 دقيقة تتعارض بشكل أساسي مع ما يتوقعه المستخدمون من زر الحذف.”

من المهم أن تكون الفرق الأمنية على دراية بهذه المخاطر وأن تتخذ تدابير وقائية لحماية بياناتهم.